За институциите и агенциите, отговорни за защитата на информацията в сферата на наказателното правосъдие (CJI), изпълнението на изискванията на CJIS означава много повече от просто внедряване на контроли за сигурност. Тези мерки трябва да работят надеждно във всички системи, използвани ежедневно от служителите, а самите институции трябва да са в състояние да докажат тяхната ефективност.

Но между остарелите системи, претоварените ИТ екипи и постоянно променящите се нужди от достъп, дори институции със солидни практики за сигурност могат да срещнат трудности при последователното прилагане на контролите и поддържането на доказателствата, които одиторите изискват.

И така, къде трябва да съсредоточите усилията си? В тази статия ще разгледаме пет ключови области, на които институциите трябва да обърнат внимание съгласно CJIS v6.1, придружени с практически съвети за по-лесно управление на съответствието.

Многофакторно автентикиране

CJIS v6.1 изисква многофакторно автентикиране (MFA) както за привилегировани, така и за непривилегировани акаунти съгласно мерките IA-2(1) и IA-2(2), покривайки локален, мрежов и отдалечен достъп. Предизвикателството се състои в това да се гарантира, че нито един акаунт не остава незащитен.

Започнете с преглед на покритието на MFA във вашата среда, като обърнете специално внимание на наследените приложения и административните акаунти. При внедряването на MFA обмислете методи, устойчиви на фишинг, като например хардуерни ключове за сигурност FIDO2.

Също така ще са ви необходими надеждни процеси за регистриране, замяна и отнемане на автентикатори.

Решения като Specops Secure Access помагат на организациите да постигнат съответствие, като разширяват MFA защитата за входове в Windows, RDP, RADIUS и офлайн достъп, с гъвкави възможности, включващи приложения за автентикация и YubiKey устройства. Интеграциите чрез API за събития също улесняват предоставянето на одитни доказателства.

Не забравяйте, че MFA не е еднократна задача. Преразглеждайте конфигурациите си при промяна на системите и потребностите от достъп.

Защитете паролите в Active Directory със Specops Password Policy

Докладът за разследване на пробиви в сигурността на данните на Verizon (DBIR) установи, че откраднатите идентификационни данни участват в 44,7% от пробивите. Защитете лесно Active Directory със съвместими политики за пароли, блокирайки над 4 милиарда компрометирани пароли, повишавайки сигурността и намалявайки драстично проблемите с техническата поддръжка!

Управление на акаунти и привилегии

Правата за достъп могат бързо да станат неактуални, когато служителите сменят роли или напускат – риск, който CJIS v6.1 се стреми да намали чрез налагане на ефективно управление на акаунтите и принципа на минималните привилегии.

Започнете с поддържането на точен опис на потребителските, административните, служебните и временните акаунти. Ограничете разрешенията само до строго необходимото за всяка роля, разделете административните привилегии от ежедневните дейности и автоматизирайте създаването и премахването на профили, където е възможно.

Преглеждайте акаунтите и привилегиите поне веднъж годишно. Временните и спешните акаунти трябва да се премахват в рамките на 72 часа, докато профилите, неактивни от 90 дни, трябва да бъдат деактивирани в рамките на една седмица. Ключът е одитът на достъпа да се превърне в непрекъснат процес, а не просто в годишно формално упражнение.

Пароли

Мярката IA-5 задава минимална дължина от осем символа за парола и е мярка от Приоритет 1, което означава, че подлежи на санкции от октомври 2024 г. В съответствие с препоръките на NIST, институциите следва да насърчават използването на по-дълги и уникални фрази за достъп (passphrases), както и одобрени мениджъри на пароли, за да се намали повторната им употреба.

  • Проверка за компрометирани пароли, с обновяване на списъците с блокирани пароли поне на всяко тримесечие и винаги при подозрение за компрометиране.
  • Блокиране на слаби или повторно използвани пароли по време на създаване или нулиране.
  • Ограничаване на неуспешните опити за вход до не повече от пет за един акаунт.

Точно тук Specops Password Policy може да помогне. Решението опростява управлението на политиките за пароли в Active Directory, като непрекъснато прави сравнения с база данни от над 6 милиарда компрометирани пароли и сканира ежедневно за новоизтекли идентификационни данни.

Персонализираните гратисни периоди помагат за намаляване на ненужните блокирания при откриване на компрометирана парола, докато шаблоните за съответствие и отчетите улесняват проследяването на напредъка.

Накрая, проверете изискванията за ежегодна смяна на паролите във вашата системна агенция за CJIS, тъй като мярката IA-5 все още изисква годишна промяна или опресняване, въпреки общите препоръки, които съветват да се избягва ненужната периодична смяна.

Журнализиране и одитни записи

Одитните дневници (logs) помагат на организациите да откриват подозрителна дейност и да разследват инциденти в сигурността. Събирането на логове обаче само по себе си не е достатъчно. Необходимо е също така да се прихващат правилните събития, записите да се преглеждат редовно и да бъдат защитени срещу подправяне.

Започнете с проверка на обхвата на журнализирането във всички системи, обработващи CJI. Уверете се, че записите улавят кой какво е направил и кога, както и крайния резултат. Централизирането на логовете в SIEM система може значително да улесни откриването на подозрителни действия.

Готовност за одит

Институциите преминават през одит поне веднъж на всеки три години, но от вас се очаква да поддържате съответствие и в периодите между проверките. Вместо да бързате да събирате доказателства в последния момент, е по-добре да възприемате съответствието с CJIS като постоянна отговорност.

  • Поддържане на опис на приложимите контроли за сигурност и определяне на отговорниците за внедряването, прегледа и документирането на всяка една от тях.
  • Поддържане на организирана доказателствена база, включително записи за конфигурации на MFA, прегледи на достъпа, одитни дневници, политики за сигурност, обучения и резултати от оценки. Това значително улеснява доказването на съответствие.
  • Документиране на установените слабости и определяне на крайни срокове за тяхното отстраняване. В съответствие с контрол CA-5 трябва да актуализирате плановете за коригиране поне на всеки шест месеца или при поява на нова информация.
  • Провеждане на вътрешни оценки с цел идентифициране на проблемите преди официалния одит.
  • Интегриране на мониторинга на сигурността и проверките за съответствие в ежедневните ИТ операции, така че промените или новите рискове да не останат незабелязани.

Превръщайки подготовката за одит в част от рутинното управление на сигурността, институциите могат да идентифицират пропуските по-рано, да намалят обема на работата при официални проверки и да поддържат по-стабилно ниво на съответствие между отделните одити.

Укрепване на съответствието с изискванията на CJIS

Съответствието с CJIS не е еднократно усилие. С промяната на системите и рисковете за сигурността институциите трябва да се уверяват, че контролите им следват това темпо. Чрез редовен преглед на защитните мерки и поддържане на организирана документация можете да направите управлението на съответствието значително по-лесно, като същевременно повишавате цялостната сигурност на организацията.

Паролите са отлична отправна точка при оценката на съответствието с CJIS. Но как да разберете къде точно са пропуските?

Инструментът Specops Password Auditor предлага безплатно сканиране в режим само за четене на Active Directory, което извежда пропуските в политиките за пароли спрямо изискванията на CJIS и маркира рискове, включително компрометирани пароли. Това е бърз начин да видите текущото си състояние и да разберете на какво трябва да обърнете внимание.